elhacker.net cabecera Bienvenido(a), Visitante. Por favor Ingresar o Registrarse
¿Perdiste tu email de activación?.

 

 


Tema destacado: Security Series.XSS. [Cross Site Scripting]


+  Foro de elhacker.net
|-+  Seguridad Informática
| |-+  Hacking
| | |-+  Bugs y Exploits
| | | |-+  Nivel Web (Moderadores: sirdarckcat, WHK)
| | | | |-+  HPC: HTTP Parameter Contamination
0 Usuarios y 1 Visitante están viendo este tema.
Páginas: [1] Ir Abajo Respuesta Imprimir
Autor Tema: HPC: HTTP Parameter Contamination  (Leído 2,791 veces)
Shell Root
Moderador Global
***
Desconectado Desconectado

Mensajes: 3.721


$M


Ver Perfil WWW
HPC: HTTP Parameter Contamination
« en: 13 Julio 2011, 18:32 pm »

HPC: HTTP Parameter Contamination

Curioso y útil el trabajo presentado por RSnake, j0rgan y lightos sobre la técnica que ellos han llamado HPC, es decir, HTTP Parameter Contamination, que puede ser utilizada fundamentalmente para dos tareas:

1) Hacer Fingerprinting de servidores web.
2) Saltarse filtros en los WAF (Web Application Firewalls).

La idea de la técnica es contaminar el query string de una petición HTTP con caracteres que los servidores web no acepten, y reemplacen, obteniendo un resultado distinto del esperado por el programador, y por lo filtros de seguriad.

Para ello han realizado un análisis basado en el envío de peticiones a servidores GET de caracteres no permitidos en los propios nombres o valores de los parámetros de un quey string para ver qué le estaba llegando realmente a la aplicación. Lo curioso, como se puede ver en las tablas, es que hay muchas más modificaciones de las esperadas, que abre un abanico de posibilidades a la hora de saltar filtros.

Por ejemplo, en un servidor Web con Apache, las peticiones que devolvieron cambios en la Query String fueron las siguientes:


Figura 1: HPC en Apache

En estas pruebas llama poderosamente la atención el reemplazao del caracter [ por un caracter _ lo que abre la posibilidad de llamar a los famosos procedimientos almacenados de MS SQL Server y saltarse los filtros de ModSecurity, como explican en su paper.


Figura 2: Saltarse modsecurity y llamar a un procedimiento almacenado con HPC

En el caso de IIS también sucede algo similar, y estas son las pruebas que produjeron cambios en el comportamiento


Figura 3: HPC en IIS 6

Por supuesto, en este caso, es el caracter nulo el que puede usarse cómodamente para saltarse el URL Filtering de, por ejemplo, los ataques LFI que usan la escalada de directorios con los ..


Figura 4: Evasión de URL Filtering con HPC

Y en el caso de servidores con Tomcat con JSP, sucede más o menos lo mismo, pero con otras poluciones HPC.


Figura 5: HPC en Tomacat con JSP

En definitiva, un paper curioso que puede resultar muy útil, y que hará que haya que modificar muchas aplicaciones y scripts para aprovechar estas características de los servidores web en ataques SQL Injection. Puedes descargalo en PDF desde: HPC: HTTP Parameter Contamination.

Fuente: elladodelmal.com
En línea

Por eso no duermo, por si tras mi ventana hay un cuervo. Cuelgo de hilos sueltos sabiendo que hay veneno en el aire.
~ Yoya ~
Wiki

Desconectado Desconectado

Mensajes: 1.125



Ver Perfil
Re: HPC: HTTP Parameter Contamination
« Respuesta #1 en: 15 Julio 2011, 16:50 pm »

muy buena informacion.

Saludos.
En línea

Mi madre me dijo que estoy destinado a ser pobre toda la vida.
Engineering is the art of balancing the benefits and drawbacks of any approach.
Páginas: [1] Ir Arriba Respuesta Imprimir 

Ir a:  

Mensajes similares
Asunto Iniciado por Respuestas Vistas Último mensaje
Errores con Wilma: 631:mixerGetLineInfo:Mixer:Invalid parameter ....
Multimedia
maccacus09 4 1,511 Último mensaje 29 Marzo 2005, 05:09 am
por mikkelele
Seguridad Web: HTTP Parameter Pollution
Nivel Web
Novlucker 2 2,605 Último mensaje 22 Mayo 2009, 03:55 am
por WHK
[Resuelto]Error Shadows a parameter make
Programación C/C++
hari 2 5,004 Último mensaje 1 Julio 2011, 14:00 pm
por Acermax
HPP HTTP PARAMETER POLLUTION
Bugs y Exploits
coldalfred 0 1,498 Último mensaje 1 Mayo 2012, 04:04 am
por coldalfred
ftp_login() expects parameter Warning
PHP
SrTrp 6 2,246 Último mensaje 25 Noviembre 2020, 15:25 pm
por mchojrin
WAP2 - Aviso Legal - Powered by SMF 1.1.21 | SMF © 2006-2008, Simple Machines